✔Polymarket скомпрометировали из-за подмены записей DNS - «Новости»
Представители рынка прогнозов Polymarket сообщили, что выплатят пользователям в общей сложности 3,9 млн долларов США после недавней атаки на цепочку поставок, от которой пострадал сервис DebugBear. Тем временем представители DebugBear раскрыли первые результаты расследования и сообщили, что злоумышленники скомпрометировали DNS-записи сервиса через регистратора домена и, по предварительным данным, целенаправленно атаковали только одного клиента.
Как мы сообщали ранее, 29 октября 2026 года Polymarket пришлось временно остановить торги после жалоб пользователей на несанкционированные выводы средств. ИБ-специалисты Hudson Rock выяснили, что сайт платформы загружал вредоносный jаvascript из домена cdn.debugbear[.]com, относящегося к инфраструктуре DebugBear — сервиса Real User Monitoring (RUM), который помогает отслеживать производительность сайтов.
Вредонос проверял, авторизован ли пользователь в Polymarket, а при наличии активной сессии использовал штатные торговые функции платформы для несанкционированных операций. Малварь определяла балансы кошельков и позиции пользователя на рынках прогнозов, после чего выбирала способ кражи криптовалюты в зависимости от метода аутентификации.
Как теперь сообщили представители Polymarket, суммарно от этой атаки пострадали 726 кошельков. Подчеркивается, что по состоянию на 30 октября 2026 года владельцы всех кошельков, кроме 37, уже получили компенсации, а оставшиеся выплаты будут произведены после дополнительной проверки.
Сообщается, что компания компенсирует убытки из-за остановки торгов, а также потери пользователей, у которых вредоносный скрипт принудительно продал позиции или перевел активы на кошелек злоумышленника. На эти выплаты компания выделит 1,19 млн долларов США для владельцев примерно для 5500 затронутых кошельков. Вместе с примерно 2,7 млн долларов США, похищенными напрямую, общая сумма компенсаций составит 3,9 млн долларов США.
«Атака произошла через скомпрометированный сторонний сервис, который мы отключили в течение часа. Мы активно расследуем инцидент совместно с правоохранительными органами и опубликуем подробный разбор», — говорят представители Polymarket.
В свою очередь, представители DebugBear объяснили, как именно произошла атака. По их словам, атакующие получили возможность изменять DNS-записи сервиса через регистратора домена, и из-за этого инцидента специалисты сервиса до сих пор не могут даже получать письма, отправленные на адреса в домене DebugBear.
Пока неизвестно, каким образом хакеры могли получить доступ на уровне регистратора. При этом в DebugBear подчеркивают, что признаков взлома внутренних систем сервиса не обнаружено.
Кроме того, предварительное расследование инцидента показало, что злоумышленники целенаправленно атаковали сайт одного клиента. Хотя его название в DebugBear не раскрыли, речь явно идет именно о Polymarket.
Отметим, что за последние несколько месяцев это уже второй инцидент такого рода, связанный с Polymarket. Так, что в июне 2026 года компрометация другого стороннего поставщика тоже привела к внедрению вредоносного скрипта во фронтенд платформы. Тогда ущерб оценивался примерно в 3 млн долларов США.
